Depuis le début août 2026, INC Ransomware est décrit comme l’acteur principal qui exploite une chaîne de vulnérabilités affectant des appliances VPN SonicWall Secure Mobile Access (SMA) 1000. Plusieurs rapports de sociétés de cybersécurité indiquent que l’activité s’est intensifiée, avec des victimes ajoutées sur le site de fuite du groupe. Les détails disponibles montrent aussi comment ces failles peuvent servir à obtenir un accès durable et à progresser vers l’intérieur des réseaux.
Dans cet article, nous résumons ce que les chercheurs disent de la chronologie, des techniques suspectées et des actions prioritaires pour réduire le risque.
Une intensification de l’activité depuis début août
Selon une analyse publiée sur le week-end par Resecurity, INC Ransomware aurait accéléré ses opérations à partir du début du mois d’août 2026. Le groupe aurait en parallèle commencé à référencer davantage d’organisations sur son site de fuite.
Les statistiques mentionnées dans les sources disponibles (par exemple via un suivi public comme Ransomware.Live) font état de 885 victimes revendiquées à ce stade, avec une entrée la plus récente datée du 2 août 2026. Le rapport de Resecurity signale également des ajouts entre le 17 juillet et le 1er août.
Quelles failles SonicWall SMA 1000 sont en cause ?
Les attaques seraient liées à deux vulnérabilités CVE-2026-15409 et CVE-2026-15410 affectant la série SonicWall SMA 1000. D’après les informations publiées, les correctifs ont été déployés par SonicWall au milieu de juillet 2026, ce qui situe une fenêtre de temps durant laquelle des systèmes non corrigés ont pu rester exposés.
Les chercheurs évaluent que l’association de ces deux failles aurait permis des scénarios plus étendus. L’idée clé est que la combinaison peut faciliter l’exécution de commandes arbitraires, puis une prise de contrôle des appareils vulnérables.
De la faille à l’accès persistant
Les rapports décrivent l’exploitation comme ayant potentiellement été utilisée comme zéro-day, ou au minimum avant que l’ensemble des défenses ne soit correctement déployé. Rapid7 souligne notamment que les intrusions chercheraient à obtenir des éléments à forte valeur : identifiants, bases de sessions actives et des configurations liées à la MFA, en particulier des graines (seeds) de Time-Based One-Time Password (TOTP).
L’objectif rapporté est cohérent avec une stratégie d’accès durable : une fois l’attaquant en place, il devient plus facile de maintenir la présence, puis de réaliser des mouvements latéraux vers d’autres systèmes du réseau interne.
Une campagne associée à un cluster et des outils spécifiques
Dans un suivi, Volexity attribue l’exploitation avant divulgation à un cluster qu’il suit sous le nom UTA0533, avec une date de départ située au 22 juin 2026 d’après leurs observations.
Le détail technique évoqué implique le déploiement d’un script Python nommé KNUCKLEBALL. Ce script servirait à lancer Suo5, un proxy HTTP open source, et une web shell de type Behinder, baptisée ORANGETAIL, présentée comme un composant personnalisé en Java.
Au-delà des noms d’outils, ce que les analystes veulent surtout montrer est la logique de chaîne d’attaque : obtenir un point d’appui, utiliser des mécanismes de connexion ou de proxying, puis installer une capacité d’exécution distante persistante.
Corrélations techniques : un acteur unique ou un groupe coordonné
Rapid7 indique que la campagne observée présente des chevauchements tactiques marqués avec des investigations menées par l’entreprise. Douglas McKee, directeur de la collecte et de l’analyse du renseignement sur les vulnérabilités chez Rapid7, décrit une corrélation technique forte, qu’il interprète comme la preuve d’une découverte et d’une exploitation coordonnées par le même acteur (ou un groupe étroitement lié) derrière la chaîne.
Dans ce cadre, INC Ransomware est ensuite présenté comme l’acteur dominant qui arme activement cette séquence de vulnérabilités.
Qui sont les victimes mentionnées ?
Resecurity précise que les nouveaux sites ajoutés sur la plateforme d’INC Ransomware entre le 17 juillet et le 1er août 2026 concernent des organisations du secteur privé et des entités gouvernementales.
Les pays cités dans les informations disponibles incluent notamment l’Australie, les États-Unis, les Émirats arabes unis, la Colombie, la Suisse et d’autres territoires.
Pression sur les victimes : e-mails, appels et contact “Andrew”
Au-delà de la compromission technique, Resecurity rapporte des scénarios de contact direct visant à accélérer les négociations. D’après le rapport, beaucoup de nouvelles victimes auraient reçu des e-mails et/ou des appels téléphoniques depuis des organisations inconnues se présentant comme capables d’aider “sur des sujets liés au ransomware”.
Dans certains cas, un individu se faisant appeler “Andrew” aurait contacté des victimes via le numéro +1 (304) 384-0401. Le rapport indique qu’il aurait affirmé appeler “depuis un groupe de hackers” et déclaré que le réseau de la victime avait été compromis.
À la fin de l’appel, il aurait fourni l’adresse info@helprans[.]com pour poursuivre les échanges, puis aurait mis fin à la conversation. Resecurity présente cette approche comme un exemple de tactiques de pression fréquemment utilisées par les groupes de ransomware.
Recommandations : corriger, puis chasser et renforcer
Les organisations exposées sont invitées à agir rapidement. La recommandation centrale est de mettre à jour immédiatement les appliances SonicWall SMA 1000 vers la version la plus récente, si ce n’est pas déjà le cas.
Resecurity propose aussi une approche plus large, combinant plusieurs axes :
- Chasse aux menaces (threat hunting) pour détecter des comportements anormaux.
- Rotation des identifiants afin de limiter l’impact d’éventuelles récupérations de secrets.
- Vérification de l’intégrité pour s’assurer que les systèmes n’ont pas été altérés.
Le rapport suggère également une méthode de détection orientée traces réseau et d’activité interne. L’idée consiste à identifier les adresses externes qui auraient interagi avec le chemin /wsproxy ou utilisé des paramètres inhabituels, puis à croiser ces événements avec les signaux d’authentification interne et d’éventuels mouvements latéraux.
Ce qu’il faut retenir
Les informations disponibles dessinent un tableau cohérent : INC Ransomware est associé à une exploitation de failles SonicWall SMA 1000 (CVE-2026-15409 et CVE-2026-15410) pouvant conduire à l’exécution de commandes, à l’obtention de données sensibles et à la mise en place d’un accès durable. Les chercheurs notent aussi l’existence de composants et de techniques visant à soutenir la persistance, avant d’étendre le contrôle à d’autres systèmes.
Si votre environnement inclut des appliances concernées, la priorité reste la mise à jour logicielle, suivie d’une chasse proactive et de la sécurisation des accès (rotation des identifiants, vérification d’intégrité et analyse des indicateurs liés à l’exploitation).
Source: https://thehackernews.com/2026/08/inc-ransomware-emerges-as-dominant.html
